Betroffen ist Adobe Campaign Classic, eine Software für die Planung und Durchführung von Marketingkampagnen. Die Anwendung bereinigt Sonderzeichen in Eingaben, die in SQL-Datenbankabfragen einfließen, nicht ausreichend. Dadurch kann ein Angreifer eigene Datenbankbefehle in reguläre Abfragen einschleusen – eine klassische SQL-Injection. Die Folge geht über das reine Auslesen oder Verändern von Datenbankinhalten hinaus: Über die eingeschleusten Anweisungen lässt sich beliebiger Code im Kontext des aktuellen Benutzers ausführen. Für den Angriff genügen bereits geringe Rechte im System; eine Mitwirkung oder Unachtsamkeit eines anderen Benutzers ist nicht erforderlich, der Angriff läuft also ohne Benutzerinteraktion ab. Zudem wirkt sich die Ausnutzung über die ursprünglich betroffene Komponente hinaus aus und kann dadurch weitere Teile der Umgebung in Mitleidenschaft ziehen. Da in Kampagnensystemen typischerweise umfangreiche Kunden- und Kontaktdaten verarbeitet werden, sind die dort gespeicherten personenbezogenen Daten besonders gefährdet.